Raunhæf persónuvernd Hafliði K. Lárusson skrifar 28. febrúar 2018 07:00 Innan tíðar munu ný persónuverndarlög taka gildi og leggjast með fullum þunga á fyrirtæki og atvinnulíf. Enda þótt nýja löggjöfin muni að mestu byggja á þeim meginreglum persónuverndar, sem gilt hafa frá síðustu aldamótum, hefur hún einnig að geyma mörg nýmæli, auk þess sem hún er miklum mun ítarlegri en núgildandi lög. Eins og búast mátti við, miða nýju reglurnar að því að auka réttindi og öryggi einstaklinga. Þá hefur því verið haldið fram, að nýju reglurnar séu fyrirtækjum einnig til hagsbóta. Ef til vill má taka undir slík sjónarmið með það í huga, að reglunum er almennt ætlað að auka öryggi og traust á sviði persónuverndar í atvinnulífinu. Engu að síður er staðreynd að flestar nýju reglurnar eru íþyngjandi fyrir fyrirtæki og munu auka bæði fyrirhöfn og kostnað á þessu sviði. Þó má segja að „ljósið í myrkrinu“ sé að finna í 25. gr. Evrópureglugerðarinnar, sem segir meðal annars: „Með hliðsjón af nýjustu tækni, kostnaði við framkvæmd og eðli, umfangi, samhengi og tilgangi vinnslunnar og áhættu, mislíklegri og misalvarlegri, fyrir réttindi og frelsi einstaklinga skal ábyrgðaraðilinn, bæði þegar ákveðnar eru aðferðir við vinnsluna og þegar vinnslan sjálf fer fram, gera viðeigandi tæknilegar og skipulagslegar ráðstafanir, s.s. notkun gerviauðkenna, sem hannaðar eru til að framfylgja meginreglum um persónuvernd … og fella nauðsynlegar verndarráðstafanir inn í vinnsluna?…“ Þrátt fyrir fremur tyrfið orðalag, setur þetta ákvæði persónuvernd í raunhæft samhengi, þ.e. það fer eftir aðstæðum hverju sinni hvaða kröfur eru gerðar til fyrirtækja um persónuvernd og þannig á persónuvernd að vera „sérsniðin“ að vinnslu persónuupplýsinga hjá hverju fyrirtæki fyrir sig. Enda þótt margir líti á 25. gr. reglugerðarinnar sem íþyngjandi, er hún í raun það tæki, sem fyrirtæki geta beitt til að halda persónuvernd innan skynsamlegra marka og hafa hana raunhæfa miðað við starfsemina. Þá leggur Evrópusambandið sérstaka áherslu á að íþyngja minni fyrirtækjum ekki um of þegar kemur að kröfum um persónuvernd. Þannig segir í 13. inngangsákvæði reglugerðarinnar: „Enn fremur eru stofnanir og aðilar Sambandsins og aðildarríkin og eftirlitsyfirvöld þeirra hvött til að taka tillit til sérstakra þarfa örfyrirtækja, lítilla og meðalstórra fyrirtækja við beitingu þessarar reglugerðar.“ Í íslensku samhengi er rétt að hafa í huga að í ofangreindan flokk falla öll fyrirtæki, sem eru með færri en 250 starfsmenn og minna en 50 milljónir evra í ársveltu. Í persónuverndarúttekt, sem er fyrsta skref fyrirtækja við að meta áhrif nýju laganna, er þess vegna nauðsynlegt að afmarka með nákvæmum hætti hvaða reglur eiga í raun við um starfsemina og með þeim hætti má „grisja“ regluverkið og meta hvar helstu skyldur, áhætta og ábyrgð liggja í raun. Í þessu sambandi er einnig rétt að hafa í huga (enda þótt það sé yfirleitt ekki nefnt berum orðum) að 100% reglufylgni á sviði persónuverndar er útilokuð og þess vegna þarf að vega og meta áhættu annars vegar og kostnað við ýtrustu reglufylgni hins vegar og þannig að komast að niðurstöðu um raunhæfa persónuvernd. Sem dæmi má nefna eftirfarandi atriði í slíkri úttekt:Tegundir persónuupplýsinga: Ríkari kröfur og þar með meiri áhætta fylgir því að vinna persónuupplýsingar sem t.d. tengjast börnum, líftækni eða mikilvægum einkahagsmunum, en persónuupplýsingar um heimilisfang fólks og símanúmer.Tegundir vinnslu: Vinnsla persónuupplýsinga, sem tengist gerð persónusniða (e. profiling), eftirliti með einstaklingum í stórum stíl eða felur í sér flutning persónuupplýsinga yfir landamæri og einkum út fyrir EES, lýtur mun strangari reglum en vinnsla persónuupplýsinga, sem felst í einfaldri vinnslu innan fyrirtækis á grunnupplýsingum um starfsmenn.Hætta á öryggisbroti: Hér koma ýmsir þættir til skoðunar, t.d. þau kerfi og hugbúnaður, sem notuð eru til vinnslunnar, hvort vinnslunni (t.d. hýsingu) er útvistað til þriðja aðila, hversu margir hafa aðgang að persónuupplýsingunum, hvernig aðgengi er takmarkað og hvernig því er stýrt, hvort kerfin eru opin eða lokuð, hvort skýþjónusta er notuð o.s.frv. Allir framangreindir þættir hafa áhrif á hversu mikil og líkleg raunveruleg áhætta er og þar með hvaða aðgerðir eru raunhæfar til að ná ásættanlegri reglufylgni. Með ofangreint í huga, er rétt að fyrirtæki „ýti á móti“ þeim þunga, sem ný persónuverndarlög hafa í för með sér. Þannig geta fyrirtæki lágmarkað fyrirhöfn og kostnað, á sama tíma og þess er gætt, að þau mæti öllum helstu kröfum, sem ný persónuverndarlög gera til þeirra.Höfundur er lögmaður hjá Fjeldsted & Blöndal og sérfræðingur í persónuverndarrétti Viltu birta grein á Vísi? Sendu okkur póst. Senda grein Birtist í Fréttablaðinu Markaðir Tengdar fréttir Aðeins fjórðungur fyrirtækja undirbúinn fyrir gildistöku nýrra persónuverndarlaga 72 prósent aðildarfyrirtækja Samtaka iðnaðarins hafa ekki hafið undirbúning fyrir gildistöku nýrra persónuverndarlaga. Þar segir að 24 prósent fyrirtækja hafi hafið undirbúning vegna laganna. 12. desember 2017 16:16 Mest lesið Halldór 15.3.2025 Halldór Er „sam-búð“ búsetuform 21. aldar og lausn við háum byggingakostnaði? Sara Björg Sigurðardóttir Skoðun Gunnar Smári hvað er hann? Birgir Dýrfjörð Skoðun Af hverju ættu nemendur að kjósa Magnús Karl sem rektor HÍ? Eygló Sóley Hróðmarsdóttir Löve,Daníel Thor Myer Skoðun Reynsla, framtíðarsýn og kjarkur Silju Báru Anna Helga Jónsdóttir,Sigurður Örn Stefánsson Skoðun Tryggjum framtíð endurnýjanlegrar orku á Íslandi Íris Lind Sæmundsdóttir Skoðun Við mótmælum nýbyggingum í Neðra Breiðholtinu Jökull Þór Sveinsson,Hlynur Ingi Jóhannsson Skoðun Hegða sér eins og ofdekraðir unglingar Hjörtur J. Guðmundsson Skoðun Bakpokinn sem þyngist aðeins hjá öðrum Inga Sæland Skoðun Ísland er leiðandi ljós og hvatning til fjölmiðla Hrönn Egilsdóttir Skoðun Skoðun Skoðun Kolbrún Þ. Pálsdóttir – rétti leiðtoginn fyrir Háskóla Íslands Hafliði Ásgeirsson,Eyjólfur Brynjar Eyjólfsson,Þorbjörg St. Þorsteinsdóttir skrifar Skoðun Hegða sér eins og ofdekraðir unglingar Hjörtur J. Guðmundsson skrifar Skoðun Af hverju ættu nemendur að kjósa Magnús Karl sem rektor HÍ? Eygló Sóley Hróðmarsdóttir Löve,Daníel Thor Myer skrifar Skoðun Við mótmælum nýbyggingum í Neðra Breiðholtinu Jökull Þór Sveinsson,Hlynur Ingi Jóhannsson skrifar Skoðun Er „sam-búð“ búsetuform 21. aldar og lausn við háum byggingakostnaði? Sara Björg Sigurðardóttir skrifar Skoðun Tryggjum framtíð endurnýjanlegrar orku á Íslandi Íris Lind Sæmundsdóttir skrifar Skoðun Reynsla, framtíðarsýn og kjarkur Silju Báru Anna Helga Jónsdóttir,Sigurður Örn Stefánsson skrifar Skoðun Gunnar Smári hvað er hann? Birgir Dýrfjörð skrifar Skoðun Um Ingibjörgu Gunnarsdóttur – ferill að rektorskjöri Rúnar Unnþórsson,Þórhallur Ingi Halldórsson skrifar Skoðun Ísland er leiðandi ljós og hvatning til fjölmiðla Hrönn Egilsdóttir skrifar Skoðun Forvarnir á ferð Erlingur Sigvaldason skrifar Skoðun Vertu meðbyr mannúðar Birna Þórarinsdóttir skrifar Skoðun Fegurð sem breytir skólum Einar Mikael Sverrisson skrifar Skoðun Það læra börnin sem fyrir þeim er haft Sigurður Örn Hilmarsson skrifar Skoðun Björn Þorsteinsson as Rector - A visionary leader uniting disciplines and driving innovation Marianne Elisabeth Klinke skrifar Skoðun Verður Frelsið fullveldinu að bráð? Anton Guðmundsson skrifar Skoðun Til rektorsframbjóðenda: Hvað gerir nýr rektor HÍ við Endurmenntun? Ólafur Stephensen skrifar Skoðun Mataræði í stóra samhengi lífsins Birna Þórisdóttir skrifar Skoðun Hvað varð um loftslagsmálin? Kamma Thordarson skrifar Skoðun Bakpokinn sem þyngist aðeins hjá öðrum Inga Sæland skrifar Skoðun Örlög Íslendinga og u-beygja áhrifamesta fjármálamanns heims Snorri Másson skrifar Skoðun Ég kýs Magnús Karl sem rektor Bylgja Hilmarsdóttir skrifar Skoðun Jóhann Páll: Vertu í liði með náttúrunni ekki gegn henni Guðmundur Ingi Guðbrandsson skrifar Skoðun Tífalt hærri vextir, meiri skuldir - menntastefna stjórnvalda? Júlíus Viggó Ólafsson,Vilhjálmur Hilmarsson skrifar Skoðun Lífið gefur engan afslátt Davíð Bergmann skrifar Skoðun Kolbrún Pálsdóttir sem næsti rektor HÍ Árni Guðmundsson skrifar Skoðun Vitskert veröld Einar Helgason skrifar Skoðun Draumurinn um hið fullkomna öryggisnet Signý Jóhannesdóttir skrifar Skoðun Sönnunarbyrði og hagsmunaárekstur Arnar Sigurðsson skrifar Skoðun Sem doktorsnemi styð ég Silju Báru til Rektors Háskóla Íslands Eva Jörgensen skrifar Sjá meira
Innan tíðar munu ný persónuverndarlög taka gildi og leggjast með fullum þunga á fyrirtæki og atvinnulíf. Enda þótt nýja löggjöfin muni að mestu byggja á þeim meginreglum persónuverndar, sem gilt hafa frá síðustu aldamótum, hefur hún einnig að geyma mörg nýmæli, auk þess sem hún er miklum mun ítarlegri en núgildandi lög. Eins og búast mátti við, miða nýju reglurnar að því að auka réttindi og öryggi einstaklinga. Þá hefur því verið haldið fram, að nýju reglurnar séu fyrirtækjum einnig til hagsbóta. Ef til vill má taka undir slík sjónarmið með það í huga, að reglunum er almennt ætlað að auka öryggi og traust á sviði persónuverndar í atvinnulífinu. Engu að síður er staðreynd að flestar nýju reglurnar eru íþyngjandi fyrir fyrirtæki og munu auka bæði fyrirhöfn og kostnað á þessu sviði. Þó má segja að „ljósið í myrkrinu“ sé að finna í 25. gr. Evrópureglugerðarinnar, sem segir meðal annars: „Með hliðsjón af nýjustu tækni, kostnaði við framkvæmd og eðli, umfangi, samhengi og tilgangi vinnslunnar og áhættu, mislíklegri og misalvarlegri, fyrir réttindi og frelsi einstaklinga skal ábyrgðaraðilinn, bæði þegar ákveðnar eru aðferðir við vinnsluna og þegar vinnslan sjálf fer fram, gera viðeigandi tæknilegar og skipulagslegar ráðstafanir, s.s. notkun gerviauðkenna, sem hannaðar eru til að framfylgja meginreglum um persónuvernd … og fella nauðsynlegar verndarráðstafanir inn í vinnsluna?…“ Þrátt fyrir fremur tyrfið orðalag, setur þetta ákvæði persónuvernd í raunhæft samhengi, þ.e. það fer eftir aðstæðum hverju sinni hvaða kröfur eru gerðar til fyrirtækja um persónuvernd og þannig á persónuvernd að vera „sérsniðin“ að vinnslu persónuupplýsinga hjá hverju fyrirtæki fyrir sig. Enda þótt margir líti á 25. gr. reglugerðarinnar sem íþyngjandi, er hún í raun það tæki, sem fyrirtæki geta beitt til að halda persónuvernd innan skynsamlegra marka og hafa hana raunhæfa miðað við starfsemina. Þá leggur Evrópusambandið sérstaka áherslu á að íþyngja minni fyrirtækjum ekki um of þegar kemur að kröfum um persónuvernd. Þannig segir í 13. inngangsákvæði reglugerðarinnar: „Enn fremur eru stofnanir og aðilar Sambandsins og aðildarríkin og eftirlitsyfirvöld þeirra hvött til að taka tillit til sérstakra þarfa örfyrirtækja, lítilla og meðalstórra fyrirtækja við beitingu þessarar reglugerðar.“ Í íslensku samhengi er rétt að hafa í huga að í ofangreindan flokk falla öll fyrirtæki, sem eru með færri en 250 starfsmenn og minna en 50 milljónir evra í ársveltu. Í persónuverndarúttekt, sem er fyrsta skref fyrirtækja við að meta áhrif nýju laganna, er þess vegna nauðsynlegt að afmarka með nákvæmum hætti hvaða reglur eiga í raun við um starfsemina og með þeim hætti má „grisja“ regluverkið og meta hvar helstu skyldur, áhætta og ábyrgð liggja í raun. Í þessu sambandi er einnig rétt að hafa í huga (enda þótt það sé yfirleitt ekki nefnt berum orðum) að 100% reglufylgni á sviði persónuverndar er útilokuð og þess vegna þarf að vega og meta áhættu annars vegar og kostnað við ýtrustu reglufylgni hins vegar og þannig að komast að niðurstöðu um raunhæfa persónuvernd. Sem dæmi má nefna eftirfarandi atriði í slíkri úttekt:Tegundir persónuupplýsinga: Ríkari kröfur og þar með meiri áhætta fylgir því að vinna persónuupplýsingar sem t.d. tengjast börnum, líftækni eða mikilvægum einkahagsmunum, en persónuupplýsingar um heimilisfang fólks og símanúmer.Tegundir vinnslu: Vinnsla persónuupplýsinga, sem tengist gerð persónusniða (e. profiling), eftirliti með einstaklingum í stórum stíl eða felur í sér flutning persónuupplýsinga yfir landamæri og einkum út fyrir EES, lýtur mun strangari reglum en vinnsla persónuupplýsinga, sem felst í einfaldri vinnslu innan fyrirtækis á grunnupplýsingum um starfsmenn.Hætta á öryggisbroti: Hér koma ýmsir þættir til skoðunar, t.d. þau kerfi og hugbúnaður, sem notuð eru til vinnslunnar, hvort vinnslunni (t.d. hýsingu) er útvistað til þriðja aðila, hversu margir hafa aðgang að persónuupplýsingunum, hvernig aðgengi er takmarkað og hvernig því er stýrt, hvort kerfin eru opin eða lokuð, hvort skýþjónusta er notuð o.s.frv. Allir framangreindir þættir hafa áhrif á hversu mikil og líkleg raunveruleg áhætta er og þar með hvaða aðgerðir eru raunhæfar til að ná ásættanlegri reglufylgni. Með ofangreint í huga, er rétt að fyrirtæki „ýti á móti“ þeim þunga, sem ný persónuverndarlög hafa í för með sér. Þannig geta fyrirtæki lágmarkað fyrirhöfn og kostnað, á sama tíma og þess er gætt, að þau mæti öllum helstu kröfum, sem ný persónuverndarlög gera til þeirra.Höfundur er lögmaður hjá Fjeldsted & Blöndal og sérfræðingur í persónuverndarrétti
Aðeins fjórðungur fyrirtækja undirbúinn fyrir gildistöku nýrra persónuverndarlaga 72 prósent aðildarfyrirtækja Samtaka iðnaðarins hafa ekki hafið undirbúning fyrir gildistöku nýrra persónuverndarlaga. Þar segir að 24 prósent fyrirtækja hafi hafið undirbúning vegna laganna. 12. desember 2017 16:16
Er „sam-búð“ búsetuform 21. aldar og lausn við háum byggingakostnaði? Sara Björg Sigurðardóttir Skoðun
Af hverju ættu nemendur að kjósa Magnús Karl sem rektor HÍ? Eygló Sóley Hróðmarsdóttir Löve,Daníel Thor Myer Skoðun
Skoðun Kolbrún Þ. Pálsdóttir – rétti leiðtoginn fyrir Háskóla Íslands Hafliði Ásgeirsson,Eyjólfur Brynjar Eyjólfsson,Þorbjörg St. Þorsteinsdóttir skrifar
Skoðun Af hverju ættu nemendur að kjósa Magnús Karl sem rektor HÍ? Eygló Sóley Hróðmarsdóttir Löve,Daníel Thor Myer skrifar
Skoðun Við mótmælum nýbyggingum í Neðra Breiðholtinu Jökull Þór Sveinsson,Hlynur Ingi Jóhannsson skrifar
Skoðun Er „sam-búð“ búsetuform 21. aldar og lausn við háum byggingakostnaði? Sara Björg Sigurðardóttir skrifar
Skoðun Reynsla, framtíðarsýn og kjarkur Silju Báru Anna Helga Jónsdóttir,Sigurður Örn Stefánsson skrifar
Skoðun Um Ingibjörgu Gunnarsdóttur – ferill að rektorskjöri Rúnar Unnþórsson,Þórhallur Ingi Halldórsson skrifar
Skoðun Björn Þorsteinsson as Rector - A visionary leader uniting disciplines and driving innovation Marianne Elisabeth Klinke skrifar
Skoðun Til rektorsframbjóðenda: Hvað gerir nýr rektor HÍ við Endurmenntun? Ólafur Stephensen skrifar
Skoðun Tífalt hærri vextir, meiri skuldir - menntastefna stjórnvalda? Júlíus Viggó Ólafsson,Vilhjálmur Hilmarsson skrifar
Er „sam-búð“ búsetuform 21. aldar og lausn við háum byggingakostnaði? Sara Björg Sigurðardóttir Skoðun
Af hverju ættu nemendur að kjósa Magnús Karl sem rektor HÍ? Eygló Sóley Hróðmarsdóttir Löve,Daníel Thor Myer Skoðun